安全公司Layer3 Intel：白宫网络AS2650被观测到236次住宅代理出口
安全公司Layer3 Intel于2026年11月4日发布报告称，其Residential Proxy Observatory在2026年10月5日至11月3日期间，观测到自家代理枚举管道通过AS2650网络出站236次。AS2650注册于美国总统行政办公室（Executive Office of the President），是白宫网络所在的自治系统。
这236次出口来自6个IP地址，覆盖30天中的26天，涉及28家不同的住宅代理服务商。Layer3 Intel表示，它并非针对该网络，而是在购买普通“全球轮换”住宅代理服务时偶然发现；公司同时将相关地址与Spur、Synthient等第三方检测服务交叉核验，后者也标记为住宅代理出口。
公司指出，活动主要集中在东部时间下午5点至午夜，凌晨几乎没有。该模式更像有人经常在晚间使用白宫网络、其设备安装了代理SDK，而非公共访客Wi-Fi。Layer3 Intel明确表示，数据只显示出口，不识别具体设备或人员；任何人付几美元注册公开住宅代理服务，即可通过这些节点发送请求。
Synthient称观测到多台Windows设备向Infatica等代理服务商beacon。Infatica创始人为Vladimir Fomenko，其名下King Servers曾在2016年被关联到针对亚利桑那州和伊利诺伊州选举系统的攻击所用服务器。截至相关报道发布，白宫未立即回应评论。
原始来源：
标题：Want to Rent an Internet Address at the White House? 发布者：Brian Krebs / Krebs on Security 发布日期：2026-11-04 URL：https://krebsonsecurity.com/2026/11/want-to-rent-an-internet-address-at-the-white-house/ 来源性质：媒体报道 核验情况：本次读取全文主要内容（含对Layer3 Intel原报告的直接引用及Synthient相关描述） 支持内容：支持236次出口、6个地址、26/30天、28家服务商、时间模式、公开可租及Infatica/Vladimir Fomenko关联等核心事实；不证明具体设备身份或已发生内部入侵
ABAB AI 解读
Vladimir Fomenko在2016年因King Servers的部分IP被用于针对美国州选举系统的探测而进入公众视野。当时ThreatConnect和FBI相关通报将其服务器与亚利桑那、伊利诺伊的活动关联，Fomenko本人接受NBC和《纽约时报》采访时否认知情，称客户匿名租用。十年后，其名下的Infatica以SDK形式嵌入免费应用，把用户设备变成可出租的住宅代理出口节点。Layer3 Intel创始人Sergiy Usatyuk的团队通过主动购买轮换代理服务、记录出口IP的方式建立观测管道，而非被动监测。
住宅代理的商业模式通常是：代理商向应用开发者提供SDK，开发者将其嵌入免费软件（如观影、工具类应用）以获取安装分成；用户安装后，其带宽被出租给第三方。客户支付几美元即可让自己的流量从被感染设备的真实住宅或企业IP出站。本次观测到的28家服务商同时能从AS2650出口，说明同一（或少数）设备上可能安装了多个SDK，或同一设备被多家转售商接入。资金流是：终端用户付费给代理服务商 → 服务商向SDK提供方/应用开发者分成 → 设备所有者通常只获得极少或无直接报酬。
与2016年King Servers事件相比，相同点是Fomenko相关基础设施再次出现在与美国政府网络相关的异常流量中；不同点是2016年是服务器被租用作为攻击跳板，本次是终端设备被SDK变成出口节点，且由安全公司主动枚举发现，而非执法机构通报。Spur此前在2026年初的网络研讨会中提到，近300个政府网络、上百家公用事业和金融机构中也存在住宅代理节点，表明这并非孤立现象。
对白宫网络而言，这意味着外部人员可以较低成本获得看起来来自EOP地址空间的出口IP，用于绕过基于地理位置或ASN的信任机制（例如某些服务对美国政府网络的宽松策略）。由于代理SDK若存在漏洞，攻击者还可能从出口节点反向探测设备所在的内网。目前观测仅证明出口流量存在，未确认具体应用、未发现数据外泄或横向移动的证据。关键观察指标是这些地址是否继续出现在公共代理池中，以及是否有官方确认设备清理情况。
ABAB News · 认知定律
公开可租的住宅代理，能把高敏感网络的出口IP变成几美元的商品。
免费应用里的SDK，把员工个人设备变成可被转售的企业网络出口。
枚举代理出口能发现节点，但无法自动证明谁安装了软件或内网是否被访问。